Magic link

Un magic link es una URL de un solo uso que te enviamos por email y que te inicia sesión al hacer clic. Sin contraseña que recordar, sin nada que guardar.

Cómo funciona

1. Introduce tu email en /login o /register.
2. Resuelve el desafío de Cloudflare Turnstile (normalmente invisible).
3. Revisa tu bandeja en busca de un email de [email protected].
4. Haz clic en el enlace del email.
5. Tienes sesión iniciada.

El enlace es válido durante 15 minutos y es de un solo uso. Si haces clic dos veces, solo el primero funciona.

Por dentro

• El enlace contiene un JWT de corta duración.
• Al hacer clic se intercambia por un par de sesión: un access token de 15 minutos + un refresh token de 7 días, ambos como cookies httpOnly.
• El frontend renueva automáticamente cuando expira el access token; te mantienes con sesión.

Múltiples dispositivos

Cada dispositivo tiene su propio par de sesión. Iniciar sesión en tu portátil no te cierra la del móvil.

Cerrar sesión

Panel -> Ajustes -> Perfil -> Cerrar sesión, o simplemente borra tus cookies.

Para cerrar sesión en todos los dispositivos: Ajustes -> Seguridad -> Cerrar sesión en todas partes. Esto invalida todos los refresh tokens; necesitarás un magic link nuevo para volver.

¿Problemas?

• No te ha llegado el email. Revisa el spam. Añade [email protected] a tu libreta de direcciones.
• El enlace dice "expirado". Esa es la ventana de 15 minutos. Solicita uno nuevo.
• El enlace dice "ya usado". Es de un solo uso. Solicita uno nuevo.
• El navegador bloqueó la redirección. Abre el enlace en otro navegador, o copia y pega la URL.

Notas de seguridad

• Hasheamos los enlaces en el servidor; el enlace en tu email no se guarda tal cual.
• Los intentos fallidos están limitados por IP.
• Nunca guardamos contraseñas. No hay nada que restablecer.

Si sospechas que alguien tiene acceso a tu email, Ajustes -> Seguridad -> Cerrar sesión en todas partes es tu amigo.